Management spolehlivosti ve ŠKODA ELECTRIC a.s.

Transkript

1 ČESKÁ SPOLEČNOST PRO JAKOST Novotného lávka 5, Praha 1 Management spolehlivosti ve ŠKODA ELECTRIC a.s. Materiály z 56. semináře odborné skupiny pro spolehlivost Plzeň, září 2014

2 Obsah: Miroslav Šmiřák, dipl. tech. Management spolehlivosti ve ŠKODA ELECTRIC a.s let poté...3 Ing. Jan Kraus Aktuální požadavky zákazníků v oblasti RAMS/LCC a jejich plnění...10 Ing. Jan Kamenický, Ph.D. Vztahy a vazby mezi spolehlivostí, bezpečností a rizikem...17 Strana 2 (celkem 27)

3 Management spolehlivosti ve ŠKODA ELECTRIC a.s let poté Miroslav Šmiřák, dipl. tech., Řízení jakosti a environmentu ŠKODA ELECTRIC a.s., tel , , miroslav.smirak@skoda.cz 1 Úvod Kulatá jubilea často svádí k bilancování, i když to nemá praktický význam. Přesto je dobré se čas od času zastavit, ohlédnout se a zrekapitulovat kam jsme došli, co se podařilo a co ne, jestli jdeme správnou cestou a stále za svým cílem, nebo jak jsme se k cíli již přiblížili a jak dlouhá a jak moc trnitá cesta nás ještě čeká. Proč bychom to tedy nemohli udělat i v oblasti managamentu spolehlivosti ve ŠKODA ELECTRIC a.s.? Je určitě za čím se ohlížet a co hodnotit. A stručně řečeno byla to cesta plná nadšení a elánu, ale také problémů a obtížných řešení, jak už to v životě, i v tom podnikatelském, chodí. V tomto příspěvku bych rád představil takovou bilanci a aktuální stav, ale také naše představy o dalším směřování, naše záměry a cíle v oblasti managementu spolehlivosti ve ŠKODA ELECTRIC. Proč 10 let poté? 10 let je doba, která letos uplynula od prvního velkého milníku v zavádění a uplatňování systému managementu spolehlivosti v naší společnosti. Milníků bylo samozřejmě víc, zmíním se o nich v následující části, ale přeci jen rok 2004 byl svým způsobem zlomový. 2 Pro pamětníky - krátké ohlédnutí do historie Není možné říci, že požadavky na spolehlivost výrobků ŠKODA určených pro drážní provoz, zejména lokomotiv, se objevily náhle v nedávné minulosti. Například v 80. letech minulého století byl v závodě ELEKTRICKÉ LOKOMOTIVY používán sběr dat o provozu lokomotiv na ČSD, data byla používána k hodnocení sjednaných parametrů spolehlivosti, jako byly například: Koeficient využití lokomotiv záruce (KVVZ) (což byl vlastně jiný název pro pohotovost); Intenzita poruch vyjádřená jako počet poruch na 1000 km ujeté vzdálenosti nebo na 1000 provozních hodin vozidla (bezporuchovost); Uzlová poruchovost vyjadřující počet poruch daného uzlu lokomotivy a jejich podíl na celkové poruchovosti lokomotivy. Byly vypracovány třídníky pro sběr a zpracování dat, formulář Technický záznam o poruše (zárodek naší dnešní Hlášenky servisního zásahu), existovaly i záměry vypracovávat programy spolehlivosti pro určené řady nebo výrobní série lokomotiv. V 90. létech přišly velké změny ve výrobní náplni jednotlivých závodů, došlo k reorganizaci a transformaci tehdejšího podniku ŠKODA na jednotlivé společnosti. Tyto události byly důvodem proč tyto záměry nebyly realizované. Po roce 2000 a vzniku ŠKODA HOLDING se začaly rozvíjet jednotlivé dceřiné společnosti, mezi nimi také ŠKODA TRAKČNÍ MOTORY s.r.o. a její pokračovatel ŠKODA ELECTRIC. V té době bylo hlavním cílem společnosti získat nové trhy a obchodní partnery pro odbyt trakčních motorů a vývoj a výroba asynchronního trakčního motoru pro pohon trolejbusu. Velký důraz byl kladen samozřejmě na kvalitu motoru, byly využívané postupy podle požadavků EN ISO 9001, ale řízení spolehlivosti motoru bylo v té době minimální a spíše nahodilé, možná i proto, že s uvedeným trolejbusovým motorem (typ ML 3550 K/4) nebyly v provozu téměř žádné problémy. Strana 3 (celkem 27)

4 3 Tři významné milníky na cestě 3.1 Audit Alstom Protože se nám podařilo dosáhnout hlavního cíle uplatnit nové motory na nových trzích, netrvalo dlouho a zájem o trakční motor projevila firma Alstom Transport, a v dubnu 2004 provedl jejich auditní tým ve ŠKODA TRAKČNÍ MOTORY úvodní audit. Výsledek auditu byl mírně řečeno dost tristní i přes diplomatické formulace auditorů v záznamech neshod jsme museli uznat, že v oblasti RAMS/LCC na tom nejsme nijak dobře: neměli jsme nastavená žádná pravidla a postupy; znalosti a kvalifikace personálu byly minimální; v předvýrobních procesech jsme neprováděli žádné analytické činnosti, ani predikce parametrů; neměli jsme k dispozici žádná provozní data pro zpětnou vazbu, s výjimkou zákaznických reklamací atd. Pustili jsme se proto do nápravných opatření, jenže s malou znalostí problematiky jsme naivně předpokládali, že systém managementu spolehlivosti zavedeme do půl roku. S žádostí o odbornou pomoc a konzultace při zavádění systému jsme se začali obracet na univerzity, které se touto oblastí zabývaly, včetně toho šestiměsíčního termínu. Tušíte jak to dopadlo, někteří z vás jste byli účastníky. 3.2 Schválení implementace systému managementu spolehlivosti vedením ŠKODA Druhým významným milníkem byl přelom let 2005 a 2006, kdy vedení ŠKODA rozhodlo o společném postupu při implementaci systému managementu spolehlivosti v rámci skupiny ŠKODA TRANSPORTATION. Poprvé jsme postupy a analýzy RAMS/LCC použili ve spolupráci s f. Alopex pro predikce parametrů RAMS/LCC v etapě 6 Design v projektu Elektrická výzbroj LRV Otogar v roce Následovalo rozhodnutí vedení ŠKODA TRANSPORTATION o realizaci pilotního projektu k plné implementaci požadavků normy EN pro všechny etapy životního cyklu výrobku. Vybrána byla elektrická výzbroj tramvají typu 15T pro Rigu. Z dnešního pohledu se jeví tento výběr jako problematický: původní návrh uskutečnit jej na některém z projektů na dodávku trolejbusu, tzn. kompletního vozidla, resp. systému, nebyl schválen. Proto zatím nemáme až dodnes zcela zvládnuté některé analýzy vztažené na celý systém, hlavně v oblasti rizik, ohrožení a nebezpečí. To budeme muset dohnat, pokud se budeme chtít zabývat analýzami RAMS/LCC celých vozidel ŠKODA ELECTRIC a.s. Během pilotního projektu v roce 2010 byla vytvořena základní řídicí dokumentace pro oblast RAMS/LCC a byly zpracovány vzorové postupy, analýzy a zprávy, což byl základ, který byl a je využíván v následujících projektech. 3.3 Implementace požadavků IRIS. Posledním (zatím) milníkem na cestě byla implementace požadavků na systém managementu kvality podle International Railways Industry Standard (IRIS), což je norma vydaná Asociací evropského železničního průmyslu UNIFE pro zavádění a hodnocení systémů managementu v železničním průmyslu. Tato norma vychází z normy EN ISO 9001, ale v některých kapitolách požadavky na systém managementu výrazně rozšiřuje a zpřísňuje. Mimo jiné stanovuje Strana 4 (celkem 27)

5 povinnost zavést a uplatňovat systém managementu spolehlivosti podle normy EN Drážní zařízení - Stanovení a prokázání bezporuchovosti, pohotovosti, udržovatelnosti a bezpečnosti (RAMS). Systém managementu RAMS podle ČSN EN byl ve ŠKODA ELECTRIC a.s. zaveden v letech 2009 až 2010, plná implementace byla dokončena začátkem roku 2011 před auditem systému managementu kvality podle IRIS. 4 Současnost Jak jsme tedy na tom dnes, po desetileté cestě? Nestranné hodnocení by měli provést jiní, ale přesto si dovolím alespoň stručný názor na klady i nedostatky. Od plné implementace v roce 2011 uběhla relativně dostatečně dlouhá doba, aby systém fungoval, aby postupy a činnosti byly prováděné standardně, ale ono to tak ještě úplně není. Některé činnosti se provádějí jaksi paralelně a trochu odděleně od standardních činností v realizačních procesech, není to celé ještě dostatečně usazené. To má několik příčin, ne jednoduchých, ale pokud je mohu stručně shrnout, jsou to hlavně: nedostatečné pochopení přínosů standardně používaných metod a nástrojů RAMS/LCC pro zvyšování bezporuchovosti a snižování vlastních nákladů a nákladů uživatelů, protože účinky se neprojevují okamžitě, ale až za delší dobu; organizační a personální zajištění oblasti RAMS/LCC a kvalifikace personálu, které už neodpovídají současném rozsahu požadavků na tuto oblast, a nevyjasněné role a odpovědnosti útvarů a osob; kapacitní vytížení pracovníků odborných útvarů činnostmi v projektech a v přípravě nabídek, souběh mnoha projektů jak v přípravě, tak v realizaci, ve kterých musí být prováděné činnosti z oblasti RAMS/LCC; obava alokovat požadavky na RAMS/LCC na dodavatele, aby nedošlo ke zvýšení ceny; obava jednat se zákazníky nebo uživateli výrobků o nejasnostech v požadavcích na RAMS nebo o poskytování dat o provozu a poruchách výrobků ŠKODA ELECTRIC a.s.; nedostatečná zpětná vazba výstupů z databáze RAMS do technických útvarů pro využití k modifikacím výrobků a zlepšování jejich parametrů. Naopak jsme získali významné přínosy: máme schopnost komunikovat rovnocenně se všemi partnery v oblasti RAMS/LCC a rychle a odpovědně reagovat na požadavky zákazníků; máme zvládnuté některé techniky predikce charakteristik RAMS/LCC a máme praktické zkušenosti v s jejich využitím konkrétních projektech; máme hotovou velkou část prací na vytvoření datové základny pro RAMS; začínáme do oblasti RAMS zapojovat některé dodavatele. Jaký je tedy aktuální stav v systému managementu spolehlivosti podle EN 50126? 4.1 Změna povědomí a vnímání oblasti spolehlivosti výrobků ve společnosti Jako důsledek rostoucích požadavků zákazníků na RAMS/LCC, komunikace s nimi a interně prováděných analýz RAMS/LCC se výrazně zlepšuje vnímání důležitosti systému managementu spolehlivosti. Přestože ještě v některých úrovních řízení přetrvává nesprávný pohled, že spolehlivost je vlastně ta MTBF, je třeba říci, že je už to názor velmi řídký. Strana 5 (celkem 27)

6 4.2 Nastavení systému, řídicí dokumentace Systém managementu spolehlivosti máme zaveden, je vydána větší část potřebné řídicí dokumentace, vydání zbývající části připravujeme. Praxe ukazuje, že i vydaná dokumentace bude muset být revidovaná tak, aby byla srozumitelnější a hlavně jasnější z hlediska rozdělení rolí a odpovědností pro standardní provádění postupů a činností v oblasti RAMS/LCC. Největším úkolem v této oblasti je dopracování řídicích dokumentů pro správu a využívání datové základny a vytvoření řídicí dokumentace pro oblast udržovatelnosti a LCC. 4.3 Uplatňování postupů v praxi V aktivních projektech vytváříme Programy RAMS a snažíme se vykonávat potřebné činnosti podle Programů. I přes snahu se nám ale někdy nedaří všechny naplánované činnosti realizovat, proto prioritně provádíme ty, jejichž výstupy jsou následně předávány zákazníkovi. Příčinou je hlavně souběh mnoha projektů a omezené kapacity specialistů, kteří na analýzách pracují. 4.4 Kvalifikace a znalosti personálu Stejně tak, jako se ve společnosti změnilo vnímání RAMS/LCC, mění se i kvalifikace, znalosti a zkušenosti personálu. Proběhlo již několik interních školicích akcí, na kterých účastníci dostali základní informace o systému managementu spolehlivosti a o některých používaných metodách. Pokrok, ale stále nedostatečný, je i v oblasti analýz rizik a ohrožení. Při nich velmi často narážíme na nedostatečnou spolupráci s výrobci kompletních vozidel, pro která dodáváme naši výzbroj. 4.5 Datová základna a její využívání Dobře strukturovanou datovou základnu, naplněnou správnými, úplnými a věrohodnými daty o provozu a údržbě našich výrobků, pokládáme za jeden z nejdůležitějších nástrojů pro plné a standardní uplatňování systému managementu spolehlivosti. Co se týká dat, převažují v datové základně data o údržbě po poruše. Například v oboru pohonů a trolejbusů obsahuje datová základna přes 12 tisíc takových záznamů, vystavených po , kdy byla spuštěna aplikace Hlášenky servisního zásahu. Co se týká struktury této části datové základny, praxe ukázala, že na ní není třeba nic zásadního měnit. Spíš bude nutné některé údaje upřesňovat nebo měnit obsah některých polí záznamu o poruše a o údržbě po poruše, tedy naší Hlášenky servisního zásahu, omezit nepodstatná data a doplnit do ní data potřebná. Také se ukazuje nutné metodicky vést zaměstnance, kteří do datové základny vkládají data, ke sjednocení pohledu a ke správnému používání číselníků. Přes velký pokrok během posledních let vidíme ve správě a využívání datové základny velké rezervy. Je nezbytné zlepšit správnost, úplnost a věrohodnost dat zaznamenávaných dat, aby mohla být využívána pro výpočty parametrů RAM a LCC dosahovaných v provozu. Stručně řečeno, jedná se o následující: data o poruchách a údržbě po poruše (Hlášenky servisního zásahu) musí obsahovat mj. informaci o započitatelnosti poruchy; musí být odlišeny závislé poruchy kvůli analýze zjišťování sledu událostí, vedoucích od prvotní poruchy k výsledné poruše, resp. projevu poruchy; je třeba změnit datovou základnu finálních výrobků a propojit ji s daty o provozu a s daty o údržbě; Strana 6 (celkem 27)

7 je nutné zaznamenávat a spravovat data o nákladech na údržbu, včetně získávání dat o preventivní údržbě, s ohledem na jejich využívání pro optimalizaci nákladů životního cyklu (LCC); je nutné propojit všechny části databáze, resp. vytvořit jednotné úložiště dat pro následné výpočty a analýzy; s ohledem na množství dat je nezbytné vytvořit nebo pořídit nástroje (SW) pro jejich zpracování a pro tvorbu standardních nebo mimořádných reportingů; je třeba umožnit využití dat a výsledků analýz k modifikaci výrobků. 4.6 Zákazníci Požadavky zákazníků na oblast RAMS/LCC, nejen na zahrnutí vybraných parametrů do smluv, ale také na jejich prokazování, na předkládání výsledků analýz, na vyhodnocování parametrů v provozu a podobně, rostou rok od roku. Tato oblast je předmětem dalšího příspěvku. 5 Budoucnost Myslím, že můžeme dnes mluvit o čtvrtém milníku : o roku 2015, o návrhu koncepce rozvoje systému managementu spolehlivosti ve ŠKODA ELECTRIC a.s. tak, abychom byli schopni se svými výrobky uspět na trhu i v budoucnu. Nejsem sice odborník na dopravní systémy, přesto si dovolím malou prognózu v souvislosti s tím, jaké požadavky na oblast RAMS/LCC můžeme očekávat ze strany zákazníků a jak bychom na jejich plnění měli být připraveni. 5.1 Budoucnost v oboru Železniční, resp. obecněji kolejová doprava bude využívat svých velkých výhod, jako jsou například rychlost, schopnost přepravit najednou mnohem více cestujících nebo nákladu než jiný druh dopravy, žádné dopravní zácpy na kolejích, bezpečnost a komfort pro cestující, nízké ekologické zatížení okolí dopravních cest a podobně. Předpokládám, že se budou dále rozvíjet dálkové vysokorychlostní spoje na železnici, přestože dnes začínají mít velkou konkurenci v relativně levné letecké dopravě. Pokud by letecká doprava vítězila, bude se muset naopak rozvíjet levná a rychlá doprava mezi městy a letišti, což je velký prostor pro lehká železniční vozidla nebo soupravy. S růstem ekonomiky a s narůstajícím tlakem na ochranu životního prostředí dojde k nárůstu požadavků na přepravu zboží po železnici. Silniční doprava má sice výhodu v dopravení nákladu přímo do místa jeho určení, ale nevýhodou se může ukázat nedostatečná kapacita a přetížení silnic a dálnic a náklady na jejich výstavbu a údržbu, promítnuté do ceny silniční dopravy. Bude se rozvíjet příměstská doprava osob pomocí lehkých kolejových vozidel, často bez obsluhy (ve ŠKODA ELECTRIC jsou to např. projekty LRV Incheon nebo Neoval), podobně by se měla rozvíjet i městská hromadná doprava, včetně využívání nových typů vozidel. 5.2 Požadavky zákazníků Na základě předchozích úvah předpokládám, že pro společnost ŠKODA ELECTRIC a.s. přijdou a už přicházejí velké příležitosti a výzvy, ale také velká ohrožení, pokud nebude schopná uspět v konkurenci ostatních výrobců dopravních vozidel nebo jejich příslušenství. Požadavky zákazníků, resp. uživatelů vozidel na oblast RAMS/LCC dále porostou, myslím, že ještě rychlejším tempem než v posledních letech, a budou zaměřené na: Strana 7 (celkem 27)

8 Bezpečnost na vyloučení nebo omezení bezpečnostních rizik a ohrožení osob nebo životního prostředí a na jejím prokázání pomocí analýz a zkoušek; Náklady životního cyklu s očekávaným růstem pořizovacích cen a cen energií nutných pro provoz se bude zvyšovat tlak na prodloužení užitečného života výrobků a na snížení nákladů vynakládaných na jejich údržbu. Předpokládám, že se bude zvyšovat tlak na omezování preventivní údržby, která vyžaduje zpravidla vyšší náklady během životního cyklu než údržba po poruše, a to jak jejího rozsahu, tak četností, tzn. na prodlužování údržbových intervalů. Stejně tak bude požadována vysoká bezporuchovost výrobků, aby byly vyloučeny nebo co nejvíce omezeny událostí vyvolávající zpoždění nebo ztrátu schopnosti vozidla dokončit misi. V návaznosti na to pak porostou požadavky na rychlou obnovu výrobku po poruše, tzn. na jeho opravitelnost a na zajištěnost údržby. Je téměř jisté, že uvedené požadavky, resp. prokázání schopnosti dodavatele je splnit, budou zákazníci vyžadovat již v předsmluvní fázi, tzn. že se stanou jedním z rozhodovacích kritérií při výběru dodavatele, resp. výrobků. 5.3 Systém RAMS/LCC, jeho rozvoj a využívání Co z toho vyplývá pro nás, resp. pro náš systém managementu RAMS/LCC, abychom dokázali požadavky zákazníků standardně plnit? Budeme muset být schopni: beze zbytku poznat a posoudit požadavky zákazníka na oblast RAMS/LCC, které se po podpisu smlouvy stanou součástí zadání pro návrh výrobku; maximálně využívat prediktivní metody v RAMS/LCC už ve fázi přípravy projektu, tzn. při vypracování nabídky, pro pokud možno co nejpřesnější odhady LCC; úzce spolupracovat s výrobcem vozidla v oblasti rizik, ohrožení a nebezpečí; v etapě designu, současně se stanovením koncepce a s technickým řešením výrobku, provádět standardně analýzy a činnosti související s RAMS/LCC, využívat při tom kromě výpočtů a simulací také provozní data obdobných výrobků nebo obdobných technických řešení; ověřovat požadované nebo predikované hodnoty parametrů bezporuchovosti a bezpečnosti pomocí spolehlivostních a životnostních zkoušek; spolupracovat s dodavateli a alokovat na jejich výrobky požadavky na RAMS/LCC; důsledně provádět analýzy udržovatelnosti, včetně uplatňování metody RCM ( Reliability Centered Maintenance ) k optimalizaci preventivní údržby; trvale analyzovat LCC jak pro zákazníky a uživatele, tak pro svou vlastní potřebu, aby mohla být zákazníkům nabízena delší záruční doba nebo poskytování údržby výrobcem po celou dobu životního cyklu výrobku, tzv. full-servis ; mít k dispozici kvalitní data o provozu a údržbě našich výrobků z vlastní databáze. 6 Závěr V příspěvku jsem se pokusil velmi stručně zrekapitulovat naši dosavadní cestu a také naše záměry do budoucna k dosažení standardního a plně funkčního systému managamentu RAMS/LCC ve společnosti ŠKODA ELECTRIC a.s. Byla, je a bude to cesta trnitá, strastiplná, někdy s oklikami, vyžadující mnoho trpělivosti a zapálení pro věc, ale jsem si naprosto jistý, že Strana 8 (celkem 27)

9 přes to všechno to byla, je a bude cesta smysluplná, která povede ke zlepšení našich výrobků a pomůže nám obstát ve velké konkurenci v našem oboru podnikání. Mluvil jsem otevřeně i o problémech, které nás trápily a trápí a dosud jsme je nedokázali zcela vyřešit, s vírou a nadějí, že v odborné diskusi k našim příspěvkům můžeme najít náměty na jejich odstranění a získat zkušenosti z jiných společností nebo institucí, které se oblastí RAMS/LCC také zabývají. Strana 9 (celkem 27)

10 Aktuální požadavky zákazníků v oblasti RAMS/LCC a jejich plnění Ing. Jan Kraus, ŠKODA ELECTRIC a.s. tel , jan.kraus@skoda.cz 1 Úvod Spolehlivost, bezpečnost a ekonomičnost patří mezi základní vlastnosti, jež jsou v současnosti od výrobků pro drážní zařízení vyžadovány. Plnění požadavků na spolehlivost (RAM), bezpečnost (S) a náklady životního cyklu (LCC) jsou nutnou podmínkou pro úspěšné dlouhodobé působení v oboru dopravního strojírenství a elektrotechniky. Aby výrobky požadované vlastnosti měly a udržely si je po celou dobu svého užitečného života, je nezbytné příslušné požadavky včas identifikovat a poté s nimi vhodným způsobem pracovat v průběhu celého životního cyklu výrobku. Cílem tohoto příspěvku je seznámit čtenáře se způsobem, jakým je ve společnosti ŠKODA ELECTRIC a.s. s požadavky zákazníků v oblasti RAMS/LCC pracováno a nastínit s jakými požadavky se pracovníci ŠKODA ELECTRIC a.s. ve své každodenní praxi setkávají. 2 Práce s požadavky zákazníků 2.1 Identifikace požadavků Nutnou podmínkou pro jakoukoliv práci s požadavky zákazníka nejen v oblasti RAMS/LCC je jejich identifikace. Prvotní identifikaci požadavků je nezbytné provést již po obdržení poptávky a příslušné zadávací dokumentace, resp. po vypsání výběrového řízení. Protože se požadavky na spolehlivost, bezpečnost a LCC mohou objevit v jakékoliv části zadávací dokumentace, je nutné pečlivě prostudovat veškeré dostupné dokumenty. Vzhledem k tomu, že nabídková (tendrová) dokumentace bývá tvořena řadou dokumentů s celkovým rozsahem až několika set stran textu (běžně 200 až 500 stran), je identifikace požadavků poměrně pracná. Identifikaci neusnadňuje ani skutečnost, že dokumenty jsou ve většině obchodních případů cizojazyčné. Pokud jsou dokumenty v jazyce, který pracovníci běžně neovládají (např. čínština), musí identifikaci požadavků předcházet překlad, který bohužel není vždy srozumitelný a přesný. Dosavadní praxe ukázala, že je žádoucí, aby identifikaci požadavků provádělo několik různých pracovníků současně. Zvýší se tak pravděpodobnost, že budou identifikovány všechny požadavky. Identifikované požadavky jsou zaznamenány do zvláštního dokumentu. Každý záznam obsahuje originální znění požadavku, včetně případných chyb formálního, významového nebo pravopisného charakteru, odkaz na místo, kde je požadavek uveden (označení dokumentu, kapitola a číslo strany) a každému požadavku jsou přiřazeny příznaky indikující jakých oblastí se požadavek týká (bezporuchovost, pohotovost, udržovatelnost a zajištěnost údržby, bezpečnost, případně náklady životního cyklu). 2.2 Posouzení požadavků Posouzení srozumitelnosti požadavků Jakmile jsou identifikovány všechny požadavky RAMS/LCC, je možné přistoupit k jejich posouzení. Vlastnímu posouzení předchází rozhodnutí jaké odborné útvary společnosti se na posouzení budou podílet. Poté se určení pracovníci u každého jednotlivého požadavku vyjadřují k jeho srozumitelnosti. Aby bylo možné zpracování výsledků posouzení alespoň částečně automatizovat, vybírají posuzovatelé při hodnocení srozumitelnosti jednu ze tří možných odpovědí: Strana 10 (celkem 27)

11 ANO Ano, požadavku jsem porozuměl(a), NE Ne, požadavku jsem neporozuměl(a), N/K Nejsem kompetentní k vyjádření. Poslední z uvedených možností (nekompetentnost k vyjádření) posuzovatel vybírá v případě, kdy je posuzovaný požadavek mimo jeho odbornost (např. k požadavku na udržovatelnost software se nebude vyjadřovat pracovník provádějící pevnostní výpočty). Posouzení splnitelnosti požadavků Dalším krokem posouzení je vyjádření jednotlivých posuzovatelů ke splnitelnosti požadavků. Analogicky jako při posuzování srozumitelnosti mají posuzovatelé na výběr několik předdefinovaných odpovědí: ANO Ano, požadavek je splnitelný, NE Ne, požadavek není splnitelný, C Požadavek je splnitelný jen částečně, S Požadavek je splnitelný s mimořádnými opatřeními nebo vícenáklady, D Požadavek je již zapracován v návrhu výrobku nebo v dokumentaci, N/K Nejsem kompetentní k vyjádření, X Nemohu se vyjádřit, požadavku jsem neporozuměl. Posuzovatelé mají možnost doplnit zvolenou odpověď vysvětlujícím komentářem. Semiautomatizované vyhodnocení posouzení splnitelnosti požadavků ale pracuje s definovaným seznamem možných odpovědí. Vyhodnocení posouzení požadavků Zásadním krokem posouzení požadavků je vyhodnocení odpovědí posuzovatelů. Nejdříve je vyhodnocována srozumitelnost požadavků s cílem vybrat z množiny všech identifikovaných požadavků ty, které jsou nesrozumitelné. Jako rozhodovací kritérium při výběru nesrozumitelných požadavků slouží množství záporných odpovědí, resp. jejich podíl na celkovém počtu odpovědí, a dále to, kdo s posuzovatelů požadavku neporozuměl. Požadavky, které jsou vyhodnoceny jako nesrozumitelné, jsou projednávány s poptávajícím nebo se zadavatelem výběrového řízení. Vyhodnocení splnitelnosti požadavků je o něco komplikovanější. Po vyřazení požadavků, které všichni posuzovatelé označili za splnitelné, je nutné zkoumat požadavky částečně splnitelné požadavky a požadavky splnitelné jen při zavedení mimořádných opatření při návrhu, výrobě, provozu nebo údržbě výrobku s dopadem na rozpočet a/nebo harmonogram projektu. Většinu takových požadavků je nutné znovu projednat s potenciálním zákazníkem. Stejně tak je nezbytné jednat o požadavcích nesplnitelných. Na základě výsledků jednání o nesrozumitelných a nesplnitelných nebo částečně splnitelných požadavcích a případných změn zadávací dokumentace je třeba proces posouzení požadavků opakovat tak, aby v okamžiku přijetí závazku (uzavření smluvního vztahu) byly všechny požadavky vyjasněny a bylo zřejmé, za jakých podmínek jsou požadavky splnitelné. V praxi se tohoto ideálního stavu ne vždy podaří dosáhnout a v některých obchodních případech pokračuje vyjasňování požadavků i ve fázi návrhu výrobku. 2.3 Plnění požadavků Požadavky na spolehlivost (pohotovost, bezporuchovost, udržovatelnost, zajištěnost údržby) a bezpečnost jsou již ze své podstaty různorodé a různé jsou i způsoby jejich plnění. Proto je po identifikaci a posouzení požadavků nutné určit jakým způsobem budou jednotlivé požadavky Strana 11 (celkem 27)

12 plněny. Dále je pro každý požadavek třeba stanovit v jaké etapě životního cyklu výrobku bude požadavek plněn a jaké útvary společnosti se na splnění požadavku budou podílet. Základní představu o plnění požadavků v jednotlivých etapách životního cyklu výrobu lze získat z následujícího přehledu. Etapa koncepce a stanovení požadavků Jak je patrné z názvu, jsou v této etapě životního cyklu požadavky stanovovány. Pro splnění požadavků v dalších etapách má jasné stanovení racionálních požadavků zásadní význam a měla by mu být věnována patřičná pozornost. Každá nedůslednost při stanovení a posouzení požadavků se dříve nebo později negativně projeví. Etapa návrhu a vývoje Návrh výrobku je pro splnění většiny požadavků na spolehlivost a bezpečnost klíčovým procesem. Návrhem výrobku a všech jeho částí, včetně stanovení rozsahu a způsobu údržby výrobku je dána míra možné spolehlivosti a bezpečnosti výrobku. Nejsou-li požadavky na spolehlivost a bezpečnost zohledněny v návrhu výrobku, je u většiny požadavků nemožné tento stav napravit v dalších etapách životního cyklu a pokud je náprava možná, je vždy spojená s navýšením některé složky nákladů životního cyklu a ve většině případů má i další dopady (např. ohrožení plnění harmonogramu projektu). Nedílnou součástí etapy návrhu a vývoje musí být ověřování návrhu výrobku. Etapa výroby Z hlediska plnění požadavků na spolehlivost a bezpečnost výrobku je v etapě výroby základním úkolem zajištění kvality výrobního procesu tak, aby inherentní ( vprojektovaná, vkonstruovaná ) úroveň spolehlivosti a bezpečnosti nebyla v průběhu výroby nepřijatelně snížena. Tento cíl je dosahován zajištěním zhotovení výrobku v plném souladu s výrobní dokumentací. Součástí etapy výroby je též soubor zkoušek k ověření plnění vybraných požadavků na spolehlivost a především bezpečnost výrobku. Etapa instalace Etapu instalace lze chápat jako pokračování etapy výroby, zejména v případě výrobků, které jsou určeny k instalaci do trakčního vozidla. Analogicky jako v předchozí etapě, také v etapě instalace je nutné zajistit, aby nedošlo ke nehodnocení spolehlivosti a bezpečnosti výrobku. V rámci instalace je též prováděno množství zkoušek zaměřených zejména na ověření funkčnosti a bezpečnosti výrobku. Etapa provozu a údržby Provoz výrobku a s ním spojená údržba představují v životním cyklu výrobků ŠKODA ELECTRIC a.s. nejdelší etapu trvající typicky 20 až 40 let. Obecně platí, že požadavky na bezpečnost, udržovatelnost, zajištění údržby a náklady životního cyklu musí být plněny po celou dobu provozu výrobku. Plnění požadavků na bezporuchovost výrobku má být zajištěno minimálně po dobu garančního provozu. Pokud by ovšem po ukončení garančního provozu došlo ke zhoršení parametrů bezporuchovosti (zvýšení intenzity poruch, resp. snížení střední doby mezi poruchami), došlo by k nežádoucímu ovlivnění pohotovosti a navýšení nákladů životního cyklu, a proto je nutné zabývat se úrovní bezporuchovosti i po ukončení garančního provozu. Etapa vypořádání (likvidace) V etapě vypořádání je výrobek vyřazen z provozu a zlikvidován předepsaným způsobem, který neohrožuje zdraví ani životní prostředí. Protože k likvidaci výrobku dochází až několik desítek let po uvedení výrobku do provozu, není při tvorbě pokynů pro demontáž a likvidaci Strana 12 (celkem 27)

13 výrobku známo, jaké budou v okamžiku likvidace výrobku existovat legislativní požadavky upravující likvidaci výrobku (ochrana zdraví a životního prostředí, recyklovatelnost výrobku) a jaké technologie likvidace budou dostupné. Tato skutečnost výrobci znesnadňuje tvorbu příslušných pokynů a návodů a prakticky vylučuje možnost určit (odhadnout) náklady na vypořádání. Přes rozdílnost požadavků na spolehlivost, bezpečnost a náklady životního cyklu lze uvést několik základních způsobů jejich splnění: Návrh výrobku Podobně jako funkční požadavky též požadavky z oblasti spolehlivosti, bezpečnosti a nákladů životního cyklu je nezbytné splnit (nebo alespoň zajistit podmínky pro jejich splnění) při činnostech zastřešených pojmem návrh výrobku a zahrnujících stanovení koncepce výrobku včetně elektrické topologie, mechanické konstrukce, technologie a technologických postupů výroby a údržby; volbu vhodných součástek a dílů; určení koncepce a postupů údržby, vývoj software a hardware řídicích, sdělovacích a zabezpečovacích obvodů a další. Kromě požadavků zákazníka existují další požadavky (zejména na bezpečnost) plynoucí z legislativy platné na národní nebo mezinárodní úrovni a ani tyto požadavky nelze při návrhu výrobku ignorovat. Dokumentace Další požadavky, obvykle z oblasti udržovatelnosti, zajištěnosti údržby a bezpečnosti jsou v etapě návrhu a vývoje plněny vytvořením obsáhlé dokumentace potřebné k řádnému a bezpečnému provádění údržby výrobku a zajištění bezpečného provozu výrobku. Za tímto účelem vznikají mimo jiné postupy pro skladování, montáž, provoz, údržbu a likvidaci výrobku, seznamy náhradních dílů, přípravků a nástrojů pro údržbu po poruše a pro preventivní údržbu, písemné materiály pro školení personálu obsluhy a údržby a ostatní podpůrné dokumenty. Organizační opatření Některé požadavky je možné splnit provedením jednorázového, opakovaného či dlouhodobého opatření organizační povahy. Jako příklad je možné uvést školení personálu zákazníka nebo provozovatele zaměřená na osvojení správné obsluhy a údržby výrobku; opatření k zajištění dostupnosti náhradních dílů v místě, kde je prováděna údržba výrobku, a zajištění potřebných lidských zdrojů pro údržbu; opatření a činnosti pro získání osvědčení a certifikátů vyžadovaných pro uvedení výrobku do provozu. 2.4 Prokázání splnění požadavků Pro každý požadavek musí být zajištěn způsob prokázání jeho splnění. U některých požadavků je prokázání splnění explicitně vyžadováno v zadávací (smluvní) dokumentaci nebo vyplývá z platné legislativy, ale výrobce musí být připraven prokázat splnění všech požadavků a to nejen z oblasti spolehlivosti, bezpečnosti a nákladů životního cyklu. Splnění požadavků, jež jsou zapracovány v návrhu výrobku, se prokazuje předložením projekční, konstrukční, technologické a výrobní dokumentace a dále množstvím zkoušek v různých fázích výroby a zkouškami hotového výrobu (funkční, typové a kusové zkoušky výrobku). Plnění požadavků na bezporuchovost, udržovatelnost a pohotovost výrobku je běžně prokazováno ve stanoveném časovém úseku v rámci etapy provozu a údržby výrobku. Naproti tomu splnění požadavků na bezpečnost je prokazováno před uvedením výrobku do komerčního provozu. Strana 13 (celkem 27)

14 2.5 Alokace požadavků Požadavky na spolehlivost a bezpečnost často není možné splnit bez toho, aby byly přeneseny a rozděleny (alokovány) na jednotlivé části výrobku na nižší funkční nebo konstrukční úrovni. Na ŠKODA ELECTRIC a.s. jako výrobce elektrické výzbroje pro trakční vozidla jsou alokovány požadavky výrobci trakčních vozidel a zároveň ŠKODA ELECTRIC a.s. alokuje požadavky na své dodavatele. Pro každý požadavek na spolehlivost a bezpečnost se proto určuje, zda bude daný požadavek alokován na dodavatele a jakým způsobem a v jakém rozsahu bude alokace provedena. Nejčastěji jsou využívány následující způsoby alokace: a) Přímé přenesení požadavku - požadavek je na dodavatele alokován ve formě a rozsahu, v jakém byl definován pro výrobek, - často využíváno pro požadavky na bezpečnost (např. soulad s technickými normami) a pro požadavky na udržovatelnost a zajištěnost údržby (např. dostupnost náhradních dílů, omezení pracnosti údržby). b) Přenesení upraveného požadavku - požadavek je rozdělen mezi subsystémy nebo díly výrobku, - využíváno pro alokaci požadavků na bezporuchovost, udržovatelnost, pohotovost a náklady životního cyklu, - používáno rovnoměrné rozdělení požadavků a vážené rozdělení požadavků (zatím bez využití sofistikovaných metod alokace). Dále jsou na dodavatele alokovány požadavky, které v zadávací dokumentaci na elektrickou výzbroj nejsou uvedeny, ale jsou odvozeny z analýz RAMS prováděných v etapě koncepce a stanovení požadavků. 3 Typické požadavky na RAMS/LCC výrobků ŠKODA ELECTRIC a.s. Lze tvrdit a to bez nadsázky, že v současnosti neexistuje jediný projekt v oboru drážních zařízení, jež by neobsahoval celou řadu požadavků z oblasti spolehlivosti, bezpečnosti a nákladů životního cyklu. Bez výjimky to platí také pro drážní vozidla a jejich části. I když se v jednotlivých projektech rozsah požadavků liší, jejich charakter je týž a lze tudíž hovořit o typických požadavcích na RAMS/LCC. 3.1 Požadavky na bezporuchovost (R) Požadavky na bezporuchovost výrobku jsou nejčastěji kvantitativní a jsou specifikovány následujícími ukazateli bezporuchovosti: - střední doba provozu mezi poruchami (MTBF), - střední ujetá vzdálenost mezi poruchami (MDBF), - střední intenzita poruch (λ), - střední užitečný (technický) život. Kromě kvantitativních požadavků se lze setkat i s vágně formulovanými kvalitativními požadavky. 3.2 Požadavky na pohotovost (A) Pokud existuje kvantitativní požadavek na pohotovost výrobku, bývá vyjádřen jako poměr střední doby použitelného stavu (MUT) ku součtu střední doby použitelného stavu a střední doby Strana 14 (celkem 27)

15 nepoužitelného stavu (MDT), tj. existuje požadavek na dosažení určité úrovně operační pohotovosti, případně jako poměr střední doby provozu mezi poruchami (MTBF) ku součtu střední doby provozu mezi poruchami a střední doby do obnovy (MTTR), tj. požadavek na inherentní pohotovost. 3.3 Požadavky na udržovatelnost a zajištěnost údržby (M) Na udržovatelnost výrobku a zajištěnost údržby většinou existuje celá řada požadavků. Kvantitativní požadavky jsou nejčastěji formulování pomocí - střední doby do obnovy (MTTR), - střední doby opravy (MRT), - maximálního počtu pracovníků provádějících údržbu (MaxANP), - maximální doby nepoužitelného stavu (MaxDT), - minimálního intervalu mezi preventivními údržbami (MinIntPM) a dalších ukazatelů. Dále bývají formulovány kvalitativní požadavky na udržovatelnost zahrnující např. požadavky na - přístupnost jednotlivých částí elektrické výzbroje, - snadnou demontovatelnost, - vyloučení použití speciálních nástrojů, - jasné a trvanlivé popisy sestav a podsestav, - zaměnitelnost stejných dílů, - modularitu, - vyloučení seřizování a nastavování po opravě, - omezení vlivu lidského faktoru, - použití úchytných bodů a madel, - školení personálu údržby, - dodání návodů pro údržbu, - zajištění náhradních dílů a další. 3.4 Požadavky na bezpečnost (S) Bezpečnost má v oblasti drážních zařízení prvořadý význam a tomu odpovídá existence mnoha požadavků na bezpečnost, jejichž cílem je omezení rizika poškození zdraví lidí a poškození životního prostředí. Z tohoto důvodu musí být výrobek navržen, vyroben, provozován, udržován a likvidován ve shodě se zákony a dalšími legislativními předpisy národního i mezinárodního charakteru, specifikovanými technickými normami a ostatními předpisy. Specifické požadavky bývají formulovány v oblasti funkční bezpečnosti (vývoj software a hardware řídicích obvodů), požární bezpečnosti (hořlavost, kouřivost a toxicita použitých materiálů) a elektromagnetické kompatibility (omezení generování rušivých signálů a zároveň zajištění odolnosti vůči elektromagnetickému rušení). 3.5 Požadavky na náklady životního cyklu (LCC) V průmyslové praxi není možné zabývat se spolehlivostí, aniž by byly zohledňovány ekonomické parametry výrobku a náklady spojené s jeho pořízením, provozem, údržbou a likvidací. Není tudíž překvapující, že kromě požadavků na spolehlivost a bezpečnost mají zákazníci také požadavky ekonomického charakteru. V oblasti nákladů životního cyklu je Strana 15 (celkem 27)

16 vyžadováno stanovení (odhadnutí) vlastnických nákladů a to již v rámci výběrového řízení, přičemž tyto náklady slouží jako jedno z důležitých rozhodovacích kriterií při výběru dodavatele. Požadavky na LCC většinou zahrnují stanovení a omezení 4 Závěr - nákladů na materiál pro preventivní údržbu (C OMPM ), - nákladů na práci pro preventivní údržbu (C OMPL ), - nákladů na materiál pro údržbu po poruše (C OMCM ), - nákladů na práci pro údržbu po poruše (C OMCL ), - nákladů na provoz (C OMO ). Z přehledu typických požadavků zákazníků na RAMS/LCC je zřejmé, že se tyto požadavky nevyskytují ojediněle, jejich rozsah není zanedbatelný a požadavky nejsou nedůležité. Proto je nutné se požadavky na spolehlivost, bezpečnost a náklady životního cyklu seriózně zabývat již od okamžiku obdržení poptávky nebo zahájení výběrového řízení. V příspěvku bylo stručně shrnuto jakým způsobem jsou požadavky identifikovány, jak je s nimi nakládáno v jednotlivých etapách životního cyklu výrobku a jakými způsoby jsou požadavky plněny. Aby výrobky ŠKODA ELECTRIC a.s. byly spolehlivé a bezpečné a jejich provoz byl ekonomický, musí být práce s požadavky na RAMS/LCC trvale nedílnou součástí rutinních činností při návrhu, vývoji, výrobě, instalaci a provozu výrobků. Strana 16 (celkem 27)

17 Vztahy a vazby mezi spolehlivostí, bezpečností a rizikem Ing. Jan Kamenický, Ph.D. Technická univerzita v Liberci Tel , jan.kamenicky@tul.cz Abstrakt V oblasti managementu rizika existují dvě skupiny analytiků, které mají k oblasti řízení rizika odlišný přístup. První z nich jsou lidé, zabývající se spolehlivostí, kteří redukují proces řízení rizika pouze na stanovení pravděpodobnosti/četnosti nastoupení nežádoucí události. Druhou skupinou jsou bezpečnostní inženýři, kterým jde především o stanovení potenciálních následků nežádoucí události. Oba přístupy mají určité argumenty pro svou podporu. Tento text se je pokusí objektivně zhodnotit a uvést skutečnosti, které jsou oběma přístupům společné a ty, ve kterých panuje zásadní rozpor. 1 Spolehlivost Pro termín spolehlivost je známo množství definic, které vycházejí historicky z toho, co lidé očekávali od produktu/služby, související s oborem jejich činnosti. Uvedu zde několik příkladů: - Schopnost fungovat tak, jak je požadováno, a tehdy, když je to požadováno [IEC (191)] - Řízení kvality, úroveň, s jakou je komponenta schopná vykonávat požadovanou funkci v jakémkoliv náhodně vybraném čase po dobu specifikovaného časového intervalu bez ohledu na splnění vnějších vlivů [ - Míra pohotovosti, bezporuchovosti a zajištěnosti údržby [A. Avizienis, J.-C. Laprie, B. Randell, and C. Landwehr, "Basic Concepts and Taxonomy of Dependable and Secure Computing" IEEE Transactions on Dependable and Secure Computing, vol. 1, pp , 2004.] Vývoj definice spolehlivosti První definice spolehlivosti vznikla s rozvojem průmyslové výroby a zněla: Pravděpodobnost, s jakou bude objekt schopen plnit bez poruchy požadované funkce po stanovenou dobu a v daných provozních podmínkách. Tento termín byl do angličtiny překládán jako Reliability. Definice spolehlivosti se s rozvojem údržby a změnou chápání průmyslových zařízení jako nástrojů k vykonávání nějaké funkce následně změnila na: Obecná schopnost výrobku plnit požadované funkce po stanovenou dobu a v daných podmínkách, která se vyjadřuje dílčími vlastnostmi, jako jsou bezporuchovost, životnost, opravitelnost, pohotovost apod. Bohužel i spolehlivost, chápaná podle této nové definice byla v angličtině označována jako Reliability, což v současnosti často vede k nedorozuměním. Aktuálně používaná definice spolehlivosti, definovaná v ČSN/ISO 9000 je jen formalizovaným zněním předchozí definice: Souhrnný termín používaný pro popis pohotovosti a činitelů, které ji ovlivňují: bezporuchovost, udržovatelnost a zajištěnost údržby (používá se pouze pro obecný nekvantitativní popis). Pro takto chápanou spolehlivost byl v angličtině zaveden termín Dependability a původní pojem Reliability je nyní chápán ve smyslu bezporuchovost. Bohužel historicky mnoho autorů stále používá Reliability v obecném smyslu spolehlivosti. Někteří autoři (Mykiska, A.: Základní terminologie spolehlivosti. Perspektivy jakosti č.3/2005, s.7.; Fuchs, P. - Ságl, P.: Jakost a spolehlivost. Přednáška. Technická univerzita v Liberci, FM, Liberec 2002.) považují spolehlivost v širším pojetí jako zastřešující pojem mimo jiné i pro bezpečnost, viz následující obrázek. Strana 17 (celkem 27)

18 Obrázek 1: Vztah mezi spolehlivostí a bezpečností. Spolehlivost je podle současně platných normativních definic chápána jako obecný popis, nikoliv kvantifikovatelný ukazatel. Analogicky bychom mohli definovat bezpečnost jako obecný popis objektu, k jehož kvantifikaci jsou nezbytné další ukazatele, jako např. úroveň integrity bezpečnosti, intenzita poruch, míra následků, míra rizika atp. Vztah spolehlivosti a bezpečnosti, uvedený na obrázku 1 je dle mého mínění mylný z několika důvodů. Pro zamyšlení nad vztahem bezpečnosti a spolehlivosti je nepodstatné, že diagnostikovatelnost je součástí udržovatelnosti, neboť moderní systémy údržby v sobě zahrnují i diagnostické metody. S ohledem na zaměření článku je velmi důležité konstatování autorů obrázku 1, že bezpečnost je podmnožinou spolehlivosti (v širším pojetí). S tímto tvrzením nesouhlasím, domnívám se, že bezpečnost ve významu zabezpečení (security) se skládá ze dvou složek - ze snižování četnosti nastoupení nebezpečné události a ze snižování následků nebezpečné události, např. stavbou bezpečnostních bariér. Četnost výskytu nebezpečné události je předmětem zkoumání spolehlivosti objektu a patří do ní i analýzy udržovatelnosti, zajištěnosti údržby, ale i životnosti a diagnostikovatelnosti. Oproti tomu stanovení následků nebezpečné události nepatří do teorie spolehlivosti, ovšem je nedílnou součástí určení bezpečnosti objektu. Proto se domnívám, že: a) není možné jednoznačně tvrdit, že bezpečnost je podmnožinou spolehlivosti, b) není možné jednoznačně tvrdit, že je spolehlivost podmnožinou bezpečnosti, c) místo pojmu spolehlivost (v širším pojetí) je lepší používat termín kvalita, d) hranice mezi spolehlivostí a bezpečností nejsou jednoznačné a oba pojmy se ve svých významech prolínají. Poznámky k pojmu spolehlivost : 1. Pojem bezporuchovost je v ČSN EN (191) definován jako schopnost fungovat v daných podmínkách bez poruchy tak, jak je požadováno, během daného časového intervalu, zatímco pravděpodobnost bezporuchového provozu je definována jako pravděpodobnost, že je objekt schopen za daných podmínek v časovém intervalu (t 1, t 2 ) fungovat tak, jak je požadováno. Terminologicky nastává rozpor již u jednoduchého paralelního zapojení, kdy požadovaná funkce je splněna i v případě výpadku jedné komponenty, ovšem tento stav nelze nazvat bezporuchovostí. 2. Rozdíly mezi termínem obnova a zotavení - zotavení je dle 50 (191) obnova bez údržby po poruše. Jak by mohla takováto situace nastat? 3. Nespolehlivost při startu vypočteme jako poměr počtu neúspěšných startů ku všem pokusům. Jedná se o PFD, tedy o U nebo ne? Strana 18 (celkem 27)

19 2 Bezpečnost Stejně jako v případě kapitoly o spolehlivosti i kapitolu o bezpečnosti uvedu vybranými definicemi pojmu bezpečnost. - schopnost být bezpečný, odolávat nebezpečí, riziku nebo zranění - zařízení je designováno tak, aby předcházelo nehodám (jako např. pojistka na spoušti střelné zbraně) [The American Heritage Dictionary of the English Language, Fourth Edition copyright 2000 by Houghton Mifflin Company. Updated in Published by Houghton Mifflin Company] - Relativně nízká úroveň nebezpečí, rizika nebo ohrožení zdraví nebo ztráty majetku způsobená vědomě nebo po nehodě [ - neexistence nepřípustného rizika vzniku škody [IEC 50126] - neexistence nepřípustného rizika [IEC ] - stav, kdy je systém schopen odolávat známým a předvídatelným vnějším a vnitřním hrozbám, které mohou negativně působit proti jednotlivým prvkům (případně celému systému) tak, aby byla zachována struktura systému, jeho stabilita, spolehlivost a chování v souladu s cílovostí. Je to tedy míra stability systému a jeho primární a sekundární adaptace. [ Z uvedených definic je zřejmé, že bezpečnost je obtížné definovat. Většina definic definuje bezpečnost jako absenci nebezpečí. Možná je tento postup výsledkem omezenosti českého jazyka, kdy bezpečnost i nebezpečí mají shodný kořen slova. Na rozdíl od češtiny jsou pojmy bezpečnost, resp. nebezpečí např. v angličtině označovány jako safety/security a danger/hazard. Pro porozumění pojmu bezpečnost zmíníme pár dalších obecně uznávaných definic. Na stránkách MVČR je definována ekonomická bezpečnost: Stav, ve kterém ekonomika objektu, jehož bezpečnost má být zajištěna (státu, seskupení států, mezinárodní organizace apod.), není ohrožena hrozbami, které výrazně snižují nebo by mohly snížit její výkonnost potřebnou k zajištění obranných i dalších bezpečnostních kapacit, sociálního smíru a konkurenceschopnosti objektu i jeho jednotlivých složek, tj. především jednotlivých podnikatelských subjektů na vnitřních i vnějších trzích. Environmentální bezpečnost Stav, kdy lidská společnost a ekologický systém na sebe vzájemně působí trvale udržitelným způsobem, jednotlivci mají dostatečný přístup ke všem přírodním zdrojům a existují mechanismy na zvládání krizí a konfliktů přímo či nepřímo spojených s životním prostředím. V tomto stavu jsou minimalizovány hrozby spojené s životním prostředím a způsobené přírodními nebo společností vyvolanými procesy (popř. jejich kombinací) ať už záměrně, nezáměrně nebo následkem nehody. Tyto hrozby mohou zapříčinit nebo zhoršovat již existující sociální napětí nebo ozbrojený konflikt. Absolutní většina z nich navíc nerespektuje státní hranice a často může působit globálně. 1 Environmental safety považuje (Mikulová Eva, Dobeš P., Danihelka P.: Přehled současného vývoje v oblasti Environmental security, Ochrana obyvatel 2008 ) za koncový/cílový stav, který je výsledkem aktivity/jevu environmental security. Tento materiál dále přináší definici, 1 Pro pojem bezpečnost ve smyslu ekonomické nebo environmentální bezpečnosti je v angličtině použit termín security, zatímco v obecném pojetí je bezpečnost překládána jako safety. Strana 19 (celkem 27)

20 vzniklou v rámci Millennium Project, a sice: Environmental security is the relative public safety from environmental dangers caused by natural or human processes due to ignorance, accident, mismanagement or design and originating within or across national borders. Tato definice je vítězná mezi návrhy, ale není v žádném případě dokonalá, dosáhla průměrného hodnocení 3,20 (1-nejlepší, 5-nejhorší). Původ slova bezpečnost Bezpečnost je odvozena od slova péče a původně měla tedy bezpečnost význam být bez péče ve smyslu nemuset se starat, být bez starosti. Slovo pochází ze staroslověnštiny, tedy je jednotným základem např. pro příbuzné polské bezpieczenstwo nebo slovenskou bezstarostnosť. Otázkou je, proč jako opak bezpečnosti používáme nebezpečnost, která v sobě vlastně obsahuje dvojitou negaci. Výrazem, který by mohl být používán jako antonymum slova bezpečnost by mohl být pojem pečnost, tedy stav, který vyžaduje péči. Zhodnocení definic bezpečnosti Definice a vlastně i význam slova bezpečnost se stále vyvíjí. V minulosti byla bezpečnost chápána jako stav, kdy se nemusíme o nic starat. S rozvojem technických oborů se i bezpečnost posunula směrem k technickému vnímání a jedná se o stav, kdy nehrozí nebezpečí/riziko. V tomto místě se dostáváme k definici kruhem (bezpečnost = neexistence nebezpečí). Podstatným poznatkem je fakt, že bezpečnost je vždy chápána jako stav, zatímco příbuzný pojem zabezpečení (angl. security) je chápán jako proces, kterým se dosáhne bezpečného stavu, bezpečnosti. Analogicky v teorii spolehlivosti můžeme sledovat vztah mezi poruchou a poruchovým stavem, kdy porucha je chápána jako jev (proces) a poruchový stav je neměnný. Lépe je tato analogie pochopitelná v anglickém jazyce, kdy pro poruchu je používán pojem failure, zatímco poruchový stav je označován jako fault. Bezpečnost je tedy stav, který nastává, pokud a) riziko je nulové b) riziko je přijatelné Vzhledem k tomu, že není možné dosáhnout stavu, kdy riziko je nulové, tedy stavu 100% bezpečnosti, je nezbytné určit hranici akceptovatelné bezpečnosti, resp. akceptovatelného rizika. V minulosti se tato otázka obcházela např. metodikami ALARP (As Low As Reasonably Practicable) nebo GAMAB (Globalement Au Moins Aussi Bon). Obě tyto metodiky pouze říkají, že riziko nového zařízení musí být na stejné nebo nižší úrovni, než bylo u zařízení starého. Nikde se však neuvádí hodnota přípustného rizika. V současné době již existuje tzv. úroveň integrity bezpečnosti, jejíž hodnoty jsou odvozeny od maximální přirozené úmrtnosti, viz např. zásada MEM (Minimum Endogenous Mortality). Zde je uvedeno, že hodnotou minimální endogenní úmrtnosti je 2x10-4 osoba -1 rok -1. Dále je v této zásadě uvažováno průměrné ohrožení jedince z 20 různých zdrojů, tedy výsledná hodnota pravděpodobnosti úmrtí jedince u nově zřizovaných technologií by neměla přesáhnout 1x10-5 osoba -1 rok -1. Je však zřejmé, že větší důraz než na hodnotu absolutní bezpečnosti je kladen na samotný proces řízení a snižování rizika, resp. zvyšování bezpečnosti. V anglické terminologii je tento myšlenkový posun podchycen a pojem bezpečnost je stále častěji vyjadřován termínem security (environmental, economical, national,...). Poznámky k pojmu bezpečnost : 1. Mohou se lidé ve válce cítit bezpečně? 2. Jak se vyvíjí pocit bezpečí v moderní společnosti? 3. Je jaderná elektrárna bezpečná nebo nebezpečná? Havárie se stane málokdy, ale když už nastane Strana 20 (celkem 27)

21 3 Riziko V této kapitole budou uvedeny argumenty pro obhajobu spolehlivostního, resp. bezpečnostního přístupu k managementu rizika a zároveň i argumenty protistrany. Začněme obhajobou spolehlivostního přístupu, ačkoliv tím není řečeno, že se jedná o přístup lepší nebo horší. Při analýzách spolehlivosti složitých průmyslových systémů se předpokládá, že potenciální následky nežádoucí události jsou takového rozsahu, že vlastně není důležité, jaké jsou, pouze je řečeno, že se jedná o katastrofu 2 takového rozsahu, že se nesmí přihodit. A protože 100 % bezpečnosti není možné dosáhnout, snaží se analytik, používající spolehlivostní přístup, stanovit pravděpodobnost, se kterou ke katastrofě dojde. Tento postup podporují např. normy IEC a IEC , ve kterých je uvedena i určitá hranice pro pravděpodobnost nastoupení nežádoucí události formou tzv. úrovně integrity bezpečnosti (SIL - Safety Integrity Level). Logickým argumentem ze strany zastánců bezpečnostního přístupu samozřejmě bude skutečnost, že mnohem četnější události, vedoucí ke ztrátě funkce zařízení, mohou být pro provozovatele nepříjemnější, protože celková ztráta, která z nich plyne, je vyšší. Při bezpečnostním přístupu k úloze řízení rizika se analytik soustředí na nejčastější nebo nejproblematičtější poruchy analyzovaného systému a místo toho, aby hodnotil četnost jejich nastoupení, pouze odhaduje, jaké jsou potenciální ztráty z těchto poruch. Výsledkem takovéto činnosti je seznam potenciálních havárií, u kterých je možné seřadit následky od nejvyšších po nejnižší a následně hledat opatření, vedoucí k jejich snížení. Ideální případ hodnocení rizika spočívá v kombinaci obou výše zmíněných přístupů. Analytik zkombinuje četnost nastoupení a následky, např. jejich pronásobením, čímž dostane hodnotu rizika. Tento přístup má tu výhodu, že je možné podle dosažené hodnoty rizika jednotlivé události (poruchy) porovnávat a následně snižovat jejich četnost nastoupení, příp. jejich následky. Problémem ale je tzv. společenská přijatelnost rizika. Tento fenomén je možné ve zkratce vysvětlit jako averzi společnosti vůči větším nehodám, přestože jejich následek je objektivně shodný. 3 Na základě diskuze bezpečnostních odborníků byl proto základní vztah pro výpočet rizika (1) upraven na (2). R = F * N (1) R = F * N 2 (2) V obou případech je R - celkové riziko, F - frekvence výskytu nežádoucí události, N - potenciální následky nežádoucí události. Touto úpravou vztahu pro výpočet celkového rizika byla akcentována složka následků, tedy byla reflektována nižší přijatelnost málo četných událostí s vysokými následky. Oprávněnou námitkou je, že není vhodné provádět umocňování potenciálních následky, krom toho není tato operace ani ničím odůvodněna. Podle umocňovací logiky by bylo úmrtí 10 lidí (během jedné události) 100x horší, než úmrtí 1 člověka, případně by platilo, že každoroční úmrtí 10 lidí (během jedné události) je z pohledu rizik totéž, jako úmrtí 100 lidí jednou za 100 let, přestože v prvním případě vlastně přijde o život v průběhu 100 let lidí a ve druhém pouze 100. K tomu, abychom pronikli do některých tajů bezpečnosti a spolehlivosti, tedy v jejich kombinaci rizika, poslouží následující kapitoly. 3.1 Přijatelnost rizika Na tomto místě je vhodné zmínit, že např. ISO definuje riziko jako vliv nejistot na dosažení cíle, což s sebou nese zajímavý aspekt - riziko z tohoto pohledu může nabývat i 2 Katastrofou se v tomto kontextu rozumí pád letounu, jaderná havárie, totální zničení petrochemického provozu atp., tedy události s velmi vysokou pravděpodobností vícečetných úmrtí a značných ekonomických následků. 3 Např. havárie autobusu s následnou smrtí 30 pasažérů je chápána jako větší tragédie, než úmrtí 30 lidí v běžném silničním provoze, rozloženém do doby řekněme jednoho měsíce. Strana 21 (celkem 27)

22 záporných hodnot, tedy hrozí např. riziko, že dosáhneme lepšího, než plánovaného výsledku. V tomto kontextu chápání rizika by ovšem nebylo vhodné žádným procesem riziko snižovat, což je často hlavním cílem řízení rizika. Kromě toho v neprospěch tohoto chápání rizika vystupuje obecně uznávané cítění pojmu riziko jako vyhlídky na něco nežádoucího a potažmo nebezpečného. Proto budeme dále pod pojmem riziko chápat kombinaci možnosti nastoupení nežádoucí události (např. její četnosti nebo pravděpodobnosti) a potenciálních (nežádoucích) následků této události. V rámci rizika ekonomických ztrát je otázka přijatelnosti rizika dána pouze rozvahou mezi peněžním přínosem z dané aktivity a náklady na tuto aktivitu, včetně nákladů na krytí rizika. Je zpravidla záležitostí podnikatelského subjektu vystaveného riziku (pokud je jediným subjektem vystaveným riziku). V rámci rizika spojeného s poškozením zdraví a života osob je subjektů vystaveným riziku více. Kromě subjektu, který má z aktivity způsobující riziko přímý prospěch (provozovatel plynárenského zařízení) bývá riziku vystaveno více subjektů, které mohou mít z aktivity nepřímý prospěch (spotřebitelé plynu), nebo žádný prospěch. Pak se hledá tzv. společenský konsensus v otázce přijatelnosti rizika z dané aktivity. Pro provozovatele plynárenského zařízení bychom použili výraz původce rizika, celá zainteresovaná společnost by potom byla příjemcem rizika. V rámci rizika spojeného s poškozením environmentu je problematika se přijatelnosti rizika shodná s případem rizika spojeného s poškozením zdraví a života osob. Přijatelnost rizika je tedy vždy otázkou konsensu, jakou úroveň rizika jsou subjekty vystavené riziku (příjemci rizika) ochotny akceptovat. Přístupy ke stanovení přijatelné úrovně rizika spojeného s provozem technických zařízení se různí. V obecné formě se dají rozlišit 3 principiálně různé přístupy. Zásada ALARP (Velká Británie, Nizozemí,... ) ALARP - As Low As Reasonably Practicable: Riziko musí být tak nízké jak je rozumně proveditelné. Princip této zásady je uveden na obr Obrázek 2: Přípustné riziko a ALARP Princip je přejat do řady technických norem. Je popsán např. v ČSN EN Neuvádí se však žádná hodnota přípustného rizika. V praxi se horní mez rizika stanovuje pod hranicí Strana 22 (celkem 27)

23 nejnižší endogenní (přirozené) úmrtnosti a dolní mez rizika na úrovni úmrtnosti z přírodních jevů. Riziko je v tomto případě vyjadřováno jako roční četnost úmrtí vztažené na 1 osobu. Zásada GAMAB (Francie) GAMAB - Globalement Au Moins Aussi Bon: Úroveň rizika z nového zařízení celkově musí být alespoň tak dobrá jako u stávajícího zařízení. Příklad aplikace této zásady je popsán v normách pro spolehlivost a bezpečnost dráhy ČSN EN 50126, příloha D. 2 a CLC/TR Zásada MEM (Německo) Zásada MEM (Minimum Endogenous Mortality) vychází z přístupu, že nové zařízení nesmí výrazně zvýšit endogenní úmrtnost (tj. úmrtnost z přirozených příčin). Tento přístup je popsán např. v ČSN EN 50126, příloha D. 3 a CLC/TR Nejnižší endogenní úmrtnost vykazují děti ve věku 5 15 let a má hodnotu osoba -1.rok -1. Úmrtnost ze selhání technických zařízení by měla být pod touto hodnotou. A protože se předpokládá, že každý jedinec je ohrožen paralelně 20 různými technickými systémy, je na technický systém kladen požadavek, že pravděpodobnost úmrtí jednotlivce (individuální riziko) by mělo být menší než osoba - 1.rok -1. Zásada MEM též zohledňuje hledisko přijatelnosti rizika většího počtu usmrcených a smrtelně raněných, viz obr Obrázek 3: Přípustné riziko podle zásady MEM Při výpočtu rizika se uvažují kromě usmrcených i těžce a lehce zranění. K dispozici je přepočítávací koeficient podle vztahu: 1 úmrtí = 10 těžkých zranění = 100 lehkých zranění. Integrita bezpečnosti (SIL) Za účelem zvýšení bezpečnosti průmyslových procesů vznikla řada metod a postupů, které jsou sjednoceny a prezentovány formou mezinárodních standardů. Integrita bezpečnosti je definována jako pravděpodobnost systému souvisejícího s bezpečností uspokojivě plnit požadované bezpečnostní funkce za všech stanovených podmínek a po stanovenou dobu. Uvedená definice vychází ze základního a průřezového standardu [ČSN IEC 50(191):1993 Medzinárodný elektrotechnický slovník Kapitola 191: Spoľahlivosť a jakosť služieb (k této normě byly vydány změny Z1:2003 a Z2:2003).] oboru spolehlivosti. Ve standardech řady x (Funkční bezpečnost) je integrita bezpečnosti definována jako střední pravděpodobnost, že bezpečnostní systém uspokojivě provádí požadované bezpečnostní funkce ve všech stanovených podmínkách ve stanovené době. Strana 23 (celkem 27)

24 Oba soubory norem, tj. ČSN EN x a ČSN EN x nejsou přes nuanci v definici integrity bezpečnosti v rozporu. Naopak, jsou vzájemně kompatibilní a pracují se shodně definovanými úrovněmi integrity bezpečnosti SIL. Lze tedy z jejich definic integrity bezpečnosti jednoznačně odvodit, že integrita bezpečnosti se vztahuje ke schopnosti systému dosáhnout požadovaných bezpečnostních funkcí. V zásadě lze odlišit dva režimy činnosti systémů souvisejících s bezpečností. Prvním je režim, kdy systém vyčkává a teprve v případě, že vznikne potřeba zásahu, realizuje bezpečnostní funkci. Druhým je režim, kdy systém trvale nebo často realizuje bezpečnostní funkci. Typickým reprezentantem systémů pracujících na vyžádání jsou ochranné a zabezpečovací systémy. Reprezentantem systémů pracujících v režimu s vysokým nebo nepřetržitým vyžádáním jsou například systémy regulace fyzikálního parametru technologického procesu nebo obyčejné železniční závory. Oba režimy jsou charakterizovány pravděpodobností selhání, ale každý jiným způsobem. Pro popis pravděpodobnosti poruchy bezpečnostní funkce se pro režim provozu s nízkým vyžádáním používá hodnota střední pravděpodobnosti a je to bezrozměrná veličina, která se označuje jako PFD avg (Probability of Failure per Demand). K popisu pravděpodobnosti poruchy bezpečnostní funkce se pro režim provozu s vysokým nebo nepřetržitým vyžádáním používá hodnota podmíněné pravděpodobnosti vyjádřené četností poruch za hodinu, označovaná jako PFH (Probability of Failure per Hour). Číselné hodnoty těchto pravděpodobností a odpovídajících hodnot úrovně integrity bezpečnosti jsou uvedeny v tabulce 1. Tabulka 1: Úrovně integrity bezpečnosti a příslušných hodnot pravděpodobnosti Úroveň integrity bezpečnosti (SIL) Režim nízkého vyžádání PFD, U [1] Cílová míra poruch Režim vysokého vyžádání PFH, λ [h -1 ] 4 >1E-5 až <1E-4 >1E-9 až <1E-8 3 >1E-4 až <1E-3 >1E-8 až <1E-7 2 >1E-3 až <1E-2 >1E-7 až <1E-6 1 >1E-2 až <1E-1 >1E-6 až <1E-5 Do integrity bezpečnosti je zahrnována integrita vůči náhodným poruchám a integrita vůči systematickým poruchám. Integrita vůči náhodným poruchám se vztahuje k nebezpečným náhodným poruchovým stavům (ojedinělé poruchové stavy, nezávislost komponent, detekce poruchových stavů, činnost po detekci), ke správné funkci provozu, poruchovým stavům hardware. SIL (Safety Integrity Level) SIL 1 SIL 2 SIL 3 SIL 4 Snížení rizika Snižuje riziko více než 10 x Snižuje riziko více než 100 x Snižuje riziko více než x Snižuje riziko více než x Obrázek 4: Vztah mezi SIL a snížením rizika Strana 24 (celkem 27)

25 Integrita vůči systematickým poruchám se vztahuje k nebezpečným systematickým poruchovým stavům hardware a software. Tyto stavy jsou převážně způsobeny lidskými chybami v různých etapách životního cyklu systému. Patří sem např. chyby specifikace, chyby návrhu, chyby instalace, chyby údržby, chyby modifikace. Shrnutí Existuje řada přístupů ke stanovení přípustného rizika. V legislativě či technických normách se z mnoha pochopitelných důvodů jedná o nezávazné doporučení, jak přistupovat k přijatelnosti rizika. Proto by hodnotu přípustného rizika měl s ohledem na širší souvislosti vytyčit a obhájit provozovatel (vlastník) technického zařízení. Je třeba si uvědomit, že uvedené přístupy jsou zaměřeny na riziko spojené s poškozením zdraví a života osob. Pro tuto oblast existují 2 kritéria přijatelnosti rizika: hodnota individuálního rizika, hodnota společenského rizika. Individuální riziko je riziko pro osobu v určitém místě v blízkosti zdroje rizika (individuální fatalita, individuální riziko zranění, individuální riziko obdržení nebezpečné toxické dávky). Mělo by být doplněno časovým úsekem, ke kterému se tato míra vztahuje. Individuální riziko nezávisí na hustotě populace v okolí zdroje rizika, tzn. individuální riziko z provozování potenciálně nebezpečné technologie není možné snížit umístěním této technologie do neobydlených oblastí. Společenské (skupinové) riziko je riziko, kterému je vystavena skupina lidí ovlivněných událostí (postižených následky havárie). Je vyjádřeno jako vztah mezi frekvencí události a počtem lidí, kteří budou určitým způsobem poškozeni. Společenské riziko závisí na rozdělení populace v okolí zdroje rizika. Základní přístup k hodnocení přijatelnosti rizika v ČR vychází metodického pokynu Ministerstva životního prostředí (MŽP) [Metodický pokyn odboru environmentálních rizik Ministerstva životního prostředí pro postup při zpracování dokumentu Analýza a hodnocení rizik závažné havárie podle zákona č. 59/2006 Sb., o prevenci závažných havárií. Věstník MŽP, ročník XVII., částka 3, březen 2007]. Riziko je zde děleno na přijatelné, tolerovatelné a nepřijatelné, viz obr. 4 a 5. Obrázek 5: Přijatelnost individuálního rizika podle metodického pokynu MŽP Strana 25 (celkem 27)

26 Obrázek 6: Přijatelnost společenského rizika podle metodického pokynu MŽP Společenské riziko se hodnotí jako funkce dvou proměnných frekvence a následků vyjádřených druhou mocninou úmrtí. Kritérium přijatelnosti (červená přímka) lze pak určit např. jako hodnotu uprostřed intervalu tolerance, který je vyznačen modrými liniemi. Metodický pokyn MŽP však tato kritéria uvádí jako teoretické příklady a nelze je tedy považovat za závazná. Navíc může při aplikaci kritéria společenského rizika pro krajní případ, kdy se jedná o úmrtí jedné osoby, dojít k rozporu s kritériem individuálního rizika. Kritéria přijatelnosti rizika je proto třeba aplikovat s porozuměním principům hodnocení rizika, kdy je třeba brát ohled i na rozsah (velikost) a strukturální složitost technologie a dobu expozice příjemce rizika. Tyto aspekty výše uvedená kritéria rizika implicitně zahrnují. Otázky k přijatelnosti rizika: 1. Máme právo vyslat/obětovat skupinu vojáků na záchranu jednoho lidského života? 2. Máme právo vyslat/obětovat jediného vojáka na záchranu skupiny osob? 3. Může mít lidský život zápornou hodnotu? 4. Je horší strach z nebezpečí nebo samotné nebezpečí? 5. Na HIV ročně zemře cca 2 miliony lidí, v Evropě je to osob, v ČR je to cca 200 osob. V důsledku dopravních nehod je to asi 1,3 milionu lidí celosvětově, v Evropě cca osob a v ČR 700 osob, což jsou srovnatelné hodnoty. Proč je tedy HIV pozitivní člověk vnímán více negativně, než řidič? Strana 26 (celkem 27)